ISACA 认证怎么选？CISA、CISM、CRISC 职业路线
比较 ISACA 的 CISA、CISM、CRISC 认证方向，梳理 IT 审计、信息安全管理和企业风险控制的选择思路。
ISACA 的认证集中在 IT 审计、信息安全管理、风险与控制、治理和隐私等领域。本文重点介绍本站已有指南的三项认证：CISA、CISM 和 CRISC。它们不是从低到高的固定阶梯，而是对应不同工作职责。完整认证目录还会更新，报考前请查看ISACA 官方认证目录。
三项认证分别关注什么？
| 认证 | 核心方向 | 常见岗位职责 |
|---|---|---|
| CISA | 信息系统审计、控制与评估 | IT 审计、内控评估、合规检查、系统风险审查 |
| CISM | 信息安全治理与管理 | 安全策略、信息安全项目、事件管理和安全团队管理 |
| CRISC | IT 风险识别、评估与控制 | 企业 IT 风险管理、风险响应、信息系统控制 |
这三项认证考试通常可以先参加，但申请正式认证时需满足相应工作经验等要求。考试通过不等于自动获得认证，具体政策应核对对应官方页面。
按工作方向选择
IT 审计和控制：CISA
CISA 适合审计、控制、监控和评估信息系统的人。工作重点如果是检查 IT 控制设计与执行、识别审计风险、评估系统治理和合规，CISA 通常是更贴近职责的选择。ISACA 要求申请正式认证时提供规定的信息系统审计、控制或安全工作经验，详见官方 CISA 认证申请说明。
信息安全管理：CISM
CISM 面向信息安全管理工作，重点是安全治理、风险管理、安全项目和事件管理。如果你的职责从单项技术操作扩展到制定安全计划、协调团队和管理安全项目，可以了解 CISM。正式认证要求相关工作经验，详情见官方 CISM 要求。
IT 风险管理：CRISC
CRISC 聚焦识别和管理企业 IT 风险，以及设计、实施和维护信息系统控制。它适合需要把技术风险与业务影响联系起来、推动风险响应和控制措施的人。可在ISACA 认证目录查看当前资格和申请要求。
CISA、CISM、CRISC 怎么区分？
- 主要工作是审计与验证控制是否有效：优先了解 CISA。
- 主要工作是建立和管理安全计划：优先了解 CISM。
- 主要工作是识别、评估和处置 IT 风险：优先了解 CRISC。
实际岗位可能交叉，但不需要把三张证书当作必须集齐的组合。先选最贴近日常职责的一项，再根据职业目标扩展。
备考和申请提醒
ISACA 会维护考试大纲和申请政策。备考前查看目标考试的官方考试指南；考试通过后，还要按要求提交经验材料并完成申请。认证获得后也有持续教育和维护要求。本文用于帮助区分方向，最终以ISACA 官方认证页面和考试考生指南为准。